🛡️ Intégration Microsoft Defender

« Intégrez la sécurité des terminaux, les vulnérabilités et les incidents dans votre espace de travail GRC — en direct depuis Microsoft Defender, prêts à être liés aux risques, actifs et contrôles. »
Visualisez votre posture de sécurité en un coup d'œil, triez ce qui compte, et importez les enregistrements Defender en tant que documents Brainframe gouvernés, sans quitter votre workflow de conformité.

L'intégration Microsoft Defender connecte Brainframe à Microsoft Defender for Endpoint et Microsoft 365 Defender via la même inscription d'application Microsoft Entra ID que celle utilisée pour l'intégration d'annuaire. Une fois configurée, vous disposez d'un tableau de bord de sécurité en direct, de données consultables sur les appareils et les menaces, ainsi que de la possibilité d'importer des objets Defender en tant que documents Brainframe — avec des données actualisées à chaque ouverture d'un enregistrement importé.

Pour les RSSI et les professionnels de la conformité, cela comble l'écart entre l'outillage de sécurité opérationnelle et les preuves GRC : vous pouvez faire remonter une CVE critique, un incident actif ou une recommandation de mauvaise configuration directement dans un registre de risques, un dossier d'audit ou un suivi de remédiation — et garder cet enregistrement à jour à mesure que Defender se met à jour.

1️⃣ Avant de commencer

Pour utiliser l'intégration, vous aurez besoin de :

• 🛠 Un administrateur de l'espace de travail Brainframe (pour configurer les identifiants Microsoft Entra ID et accorder les permissions Azure).
• 🔐 Une intégration Microsoft Entra ID déjà existante dans le même espace de travail — Defender réutilise ces identifiants ; aucun secret distinct n'est stocké pour Defender.
• 🪪 Une licence Microsoft Defender for Endpoint pour les modules souhaités (voir Exigences de licence ci-dessous).
• 📂 Des permissions API en lecture seule consenties dans Azure, à la fois pour l'API Defender for Endpoint et les API de sécurité Microsoft Graph.

💡 Defender et Entra partagent une seule inscription d'application. Vous ajoutez des permissions d'application supplémentaires pour Defender sur la même application Entra — vous ne créez pas une seconde inscription.

2️⃣ Configurer l'intégration

Microsoft Defender n'utilise pas d'écran distinct nom d'utilisateur/mot de passe. La configuration consiste à étendre votre application Entra existante avec les bonnes permissions et à vérifier que chaque module Defender est disponible.

Allez dans Paramètres de l'espace de travail → Intégrations → Microsoft Defender → Configurer (/integrations/microsoft-defender/config).

Étape 1 — Confirmer les identifiants Entra

La page de configuration indique si des identifiants Microsoft sont détectés (ID de locataire et ID client provenant de votre intégration Entra).

• Si Entra est manquant, cliquez sur Configurer les identifiants Microsoft Entra ID et effectuez d'abord cette configuration.
• Si Entra est déjà configuré, poursuivez en ajoutant les permissions Defender dans Azure.

Étape 2 — Ajouter les permissions dans Azure

Ouvrez votre inscription d'application dans le Centre d'administration Microsoft Entra → Inscriptions d'applications → Permissions API.

A. API Defender for Endpoint (WindowsDefenderATP)

Ajoutez des permissions d'application :

B. Microsoft Graph

Ajoutez des permissions d'application :

Cliquez ensuite sur Accorder le consentement administrateur pour votre locataire sur la page des permissions API. Le consentement administrateur est obligatoire — ajouter les permissions seules ne suffit pas.

Étape 3 — Tester la connexion

De retour dans Brainframe, cliquez sur Retester la connexion. Le tableau État des capacités du module indique quels modules Defender sont disponibles :

Lorsque les identifiants et au moins un module sont disponibles, ouvrez Microsoft Defender depuis l'écran de configuration pour commencer à parcourir les données.

📌 Brainframe lit uniquement les données de Defender. Il ne remédie pas aux terminaux, ne modifie pas le statut des incidents et ne modifie pas la configuration de Defender en votre nom.

🪪 Exigences de licence

💡 Si un onglet affiche une bannière jaune licence manquante ou non provisionné, les autres onglets peuvent toujours fonctionner. Brainframe signale clairement la limitation plutôt que d'échouer silencieusement.

Clouds gouvernementaux et souverains

Brainframe détecte automatiquement si votre locataire utilise des régions cloud commerciales, GCC, GCC High ou DoD, et ouvre les liens du portail Defender correspondants (security.microsoft.com vs security.microsoft.us). Aucune configuration supplémentaire n'est requise au-delà de la configuration Entra standard pour ce cloud.

3️⃣ Utiliser la page d'intégration Microsoft Defender

Ouvrez Paramètres de l'espace de travail → Intégrations → Microsoft Defender (ou l'élément Intégrations dans la barre latérale lorsque Defender est activé pour votre espace de travail).

L'en-tête de la page inclut Configurer (icône engrenage) et Actualiser. Utilisez Actualiser après des changements importants dans Defender ou après avoir accordé de nouvelles permissions dans Azure.

📊 Cartes KPI en haut de page (posture de sécurité en un coup d'œil)

Sept cartes résument la posture au niveau du locataire. Plusieurs sont cliquables — elles basculent vers l'onglet concerné et appliquent un filtre correspondant.

Des indices de couleur aident au tri : vert pour les décomptes sains, ambre/orange pour une attention requise, rouge pour un risque élevé.

📌 Pour les rapports au conseil d'administration ou les preuves ISO/SOC, capturez ou exportez ces KPI aux côtés des enregistrements importés dans vos dossiers de conformité.

4️⃣ Onglets, filtres et tableaux

Cinq onglets principaux organisent les données Defender. Chaque onglet dispose d'une recherche, de filtres, de colonnes triables, de la pagination, d'un lien Ouvrir le tableau de bord Defender (contextuel à l'onglet actif), et d'actions d'importation.

🖥 Appareils

Vos terminaux intégrés — l'inventaire d'actifs opérationnels qui intéresse les équipes de sécurité.

Filtres : Risque, Exposition, Santé, Plateforme OS, Groupe RBAC, Valeur de l'appareil, Rattaché à Entra (Oui/Non), Exposé sur Internet.

Colonnes clés : Nom de l'appareil, OS, Santé, Risque, Exposition, Valeur de l'appareil, Dernière vue, Première vue, IP, Rattaché à Entra, Groupe, Étiquettes.

Usage type RSSI : Identifier les postes de travail non gérés ou à haut risque liés à des actifs métier critiques ; importer les serveurs clés ou les appareils d'administrateurs privilégiés dans un registre d'actifs.

⚠️ Vulnérabilités

Renseignements sur les vulnérabilités au niveau CVE, issus de Defender TVM.

Filtres : Gravité (Critique / Élevée / Moyenne / Faible), Exploit public, Exploit vérifié, Dans un kit d'exploitation.

Colonnes clés : CVE, Gravité, CVSS, indicateurs d'exploit, Appareils exposés, Dates de publication/mise à jour, KB de correction, Description.

Usage type conformité : Importer les CVE Critiques/Élevées avec exploits publics dans un type de document Vulnérabilité ; les lier aux traitements de risque et aux contrôles de gestion des correctifs (par ex. ISO 27001 A.8, mesures techniques NIS2).

🔧 Mauvaises configurations

Recommandations de configuration sécurisée (mauvaises configurations et lacunes de durcissement).

Filtres : Catégorie, Type de remédiation, Statut (Actif / Exception), A une alerte active, A un exploit public.

Colonnes clés : Nom de la recommandation, Catégorie, Impact sur la gravité, Impact sur le score sécurisé, Impact sur l'exposition, Appareils exposés, Statut, Composant associé.

Vue par défaut : Recommandations actives uniquement.

Usage type conformité : Suivre la dérive de configuration par rapport aux benchmarks CIS ou aux référentiels de durcissement internes ; importer les principales recommandations dans un registre de mauvaises configurations lié aux tests de contrôle.

🚨 Incidents et alertes

Deux sous-vues sous un même onglet :

Filtres : Gravité, Statut, Classification (Vrai positif / Faux positif / etc.), Plage de dates, MDE uniquement vs Toutes sources XDR.

Colonnes des incidents : Nom, Gravité, Statut, Classification, Détermination, Assigné à, Créé, Score de priorité, Nombre d'alertes.

Colonnes des alertes : Titre, Gravité, Statut, Source du service, Source de détection, Catégorie, Techniques MITRE, Classification, Horodatages d'activité.

Usage type conformité : Importer les incidents actifs dans un dossier Incident pour les workflows de notification de violation, les revues post-incident ou la documentation de transfert vers le SOC.

✅ Tâches de remédiation

Éléments de travail de remédiation suivis depuis Defender TVM (correctifs, corrections de configuration).

Filtres : Statut (Actif, Terminé, Annulé, En attente).

Colonnes clés : Titre de la tâche, Recommandation associée, Statut, Date d'échéance, Créé, Appareils cibles.

Usage type conformité : Importer les tâches de remédiation ouvertes en tant que documents Action dans un dossier de programme de remédiation ; les aligner avec les constats d'audit ou les suivis de tests d'intrusion.

5️⃣ Parcourir, importer et documents en direct

Parcourir et ouvrir dans Defender

• Cliquez sur une ligne du tableau pour ouvrir cet enregistrement dans le portail Microsoft Defender, dans un nouvel onglet.
• Utilisez le bouton ↗ Ouvrir dans Defender sur une ligne pour la même action, sans sélectionner la ligne.
• Ouvrir le tableau de bord Defender (en haut à droite de la barre de filtres) vous amène à la section correspondante du portail Defender pour l'onglet où vous vous trouvez.

Importer dans Brainframe

L'importation transforme un enregistrement Defender en document natif Brainframe dans un dossier de votre choix.

Types de documents par défaut à l'importation

Lors d'une importation depuis une vue tableau, Brainframe présélectionne le type de document de ce tableau dans la boîte de dialogue d'importation.

Données en direct sur les documents importés

Contrairement à un export ponctuel, les documents Defender importés restent connectés à la source :

• Chaque fois que vous ouvrez le document, Brainframe récupère les données les plus récentes depuis Microsoft Defender.
• La gravité, le statut, les décomptes d'exposition, les techniques MITRE et d'autres champs se rafraîchissent automatiquement.
• Utilisez Ouvrir dans Defender depuis la visionneuse intégrée pour accéder à l'enregistrement canonique dans le portail.

Ceci est idéal pour les preuves qui doivent rester à jour — par ex. une vulnérabilité liée à un traitement de risque, ou un incident référencé dans une revue de direction.

📌 Les documents importés restent dans votre espace de travail même si vous modifiez ultérieurement les permissions Entra. Ils affichent simplement les données les plus récentes que Defender vous autorise encore à lire.

6️⃣ Ajouter des enregistrements Defender depuis les dossiers et les vues tableau

Vous n'avez pas besoin d'ouvrir la page d'intégration complète pour chaque importation.

Menu NOUVEAU du dossier

1. Ouvrez n'importe quel dossier → NOUVEAU → Ajouter depuis les intégrations.
2. Sélectionnez Microsoft Defender dans le catalogue (filtrez par Vulnérabilités, Incidents, Actifs ou Mauvaises configurations si utile).
3. Parcourez les mêmes onglets, filtres et cartes KPI que la page d'intégration principale.
4. Importez un ou plusieurs enregistrements dans le dossier choisi.

Bouton cloud de la vue tableau

Dans un tableau de type de document, cliquez sur l'icône cloud (Ajouter depuis les intégrations). Le même navigateur Defender s'ouvre, avec le type de document du tableau actuel présélectionné pour l'importation.

Workflows types

7️⃣ Menu d'intégrations dans la barre latérale

Lorsque Defender est configuré et activé dans les paramètres de menu de votre espace de travail, Microsoft Defender apparaît sous Intégrations dans la barre latérale gauche.

• Les entrées grisées signifient que l'intégration est visible dans la configuration du menu mais non activée ou non accessible pour votre utilisateur — demandez à un administrateur de l'activer sous Paramètres de l'espace de travail → Interface du menu.

La configuration reste toujours accessible sous Intégrations → Microsoft Defender → Configurer.

8️⃣ Comment les RSSI et les équipes conformité utilisent généralement Defender dans Brainframe

Relier les opérations de sécurité à la GRC

Alignement ISO 27001 / SOC 2 / NIS2 (exemples)

• Gestion des vulnérabilités (A.8 / CC7) — Importer les CVE Critiques/Élevées ; les lier aux SLA de correctifs et aux registres d'acceptation du risque.
• Configuration sécurisée (A.8) — Importer les recommandations de mauvaises configurations ; les mapper aux normes de durcissement.
• Gestion des incidents (A.5 / CC7) — Importer les incidents ; conserver les preuves chronologiques pour les audits.
• Inventaire des actifs (A.5) — Importer des appareils représentatifs ; recouper avec le statut de rattachement à Entra depuis l'onglet Appareils.
• Surveillance continue — Le rafraîchissement en direct des enregistrements importés soutient les récits d'audit « instantané plus continu ».

Combiner avec Microsoft Entra ID

De nombreuses organisations utilisent les deux intégrations sur la même inscription d'application :

• Entra ID — identités, appareils d'annuaire, accès conditionnel, risque d'identité.
• Microsoft Defender — santé des terminaux, CVE, incidents, remédiation.

Ensemble, elles offrent une vision plus complète identité + terminal au sein de Brainframe, sans gestion de doubles identifiants.

9️⃣ Résumé des permissions

Les identifiants sont chiffrés au repos et ne sont jamais affichés dans le navigateur après enregistrement (via l'intégration Entra partagée).

🔟 Dépannage

Intégrations connexes

Pour la configuration de l'annuaire Entra et les détails des permissions, consultez le guide Intégration Microsoft Entra ID. Pour les constats de sécurité applicative, consultez le guide Intégration Aikido.

Mis à jour le : 14/07/2026